Otomatik Kaçış Devre Dışı (ARCH6134)

Anahtar ruby.security.disabled-auto-escape · Önem warning · Kategori security · CWE CWE-79

Şablonlarda otomatik kaçışı kapatmak veya raw/html_safe ile çıktıyı işaretlemek, varsayılan XSS korumasını devre dışı bırakır. Güvenilmeyen veriyi her zaman kaçış ile işleyin.

Hatalı

<%= raw @comment.body %>
<%= @comment.body.html_safe %>

Doğru

<%= @comment.body %>
<%# Sınırlı, güvenli işaretleme gerekiyorsa beyaz listeyle temizleyin %>
<%= sanitize @comment.body, tags: %w[b i a], attributes: %w[href] %>

Düzeltme

raw/html_safe kullanmayın; otomatik kaçışı koruyun ve gerektiğinde sanitize ile beyaz liste uygulayın.